À qui appartiennent vos données de santé ?
Juridiquement, vos données de santé constituent la catégorie la plus sensible d’informations personnelles qui existe. En Europe, le Règlement général sur la protection des données (RGPD) les classe parmi les « catégories particulières », dont le traitement est interdit sauf conditions strictes et explicitement justifiées. Aux États-Unis, les informations de santé protégées relèvent d’un régime fédéral dédié, HIPAA. La Suisse les protège par la nouvelle Loi fédérale sur la protection des données (nLPD).
Mais « les plus protégées » ne veut pas dire « les vôtres en pratique ». Vos dossiers sont éparpillés entre les institutions qui les ont créés : hôpitaux, laboratoires, assureurs, applications. Chacune en détient un fragment, et aucune ne vous rend de comptes en premier.
Qui contrôle réellement les données : le responsable du traitement
Le rôle juridique central est celui de responsable du traitement (Data Controller) : l’entité qui détermine pourquoi et comment les données personnelles sont traitées. Sous le RGPD, HIPAA ou la nLPD suisse, être responsable du traitement signifie assumer l’entière responsabilité juridique de la gouvernance des données. Dans le système actuel, ce rôle appartient à l’institution qui détient votre dossier, pas à vous.
C’est aussi pourquoi les données de santé sont d’abord un passif pour les institutions qui les détiennent : le secteur de la santé est le plus coûteux en matière de violations de données depuis quatorze années consécutives. Un dossier ne devient un actif que lorsque son traitement crée de la valeur pour la personne qu’il décrit.
À quoi ressemble la propriété du patient
La propriété devient réelle quand trois conditions sont réunies :
- Vous détenez le dossier. Vos données issues de différentes sources vivent en un seul endroit qui vous appartient, et non en fragments dans les silos de chaque institution.
- L’accès repose sur votre consentement. Chaque accès est explicite, traçable et révocable à tout moment, au lieu d’être enfoui dans des conditions d’utilisation.
- Un gardien responsable porte le poids juridique. Il faut toujours un responsable du traitement ; la question est de savoir à qui cette entité rend des comptes.
C’est la structure pour laquelle Health Data Safe a été créée : une fondation suisse à but non lucratif agissant comme responsable du traitement, détenant les données des patients sous consentement explicite et révocable, sur une infrastructure open source. Les statuts de la Fondation placent les droits fondamentaux des patients et le contrôle de leurs propres données au centre, traitent les données de santé comme un bien commun qui ne s’achète ni ne se vend, limitent leur usage aux soins cliniques et à la recherche approuvée, et ne donnent à la Fondation aucun but lucratif. Le droit suisse des fondations rend cette mission permanente.
Pourquoi cela vous dépasse
Quand les patients détiennent leurs propres dossiers et les partagent selon leurs propres conditions, la recherche gagne ce que le système actuel ne peut pas produire : des données consenties, de qualité recherche, dès leur collecte.
Pour voir la mécanique : Fonctionnement détaille les cinq étapes, de la création du compte au partage et à la révocation des accès.